Uzun bir süre boyunca teknoloji kararları tanıdık bir soru setiyle değerlendirildi: Daha hızlı mı? Daha ucuz mu? Ölçeklenebilir mi? Ekibi daha üretken hâle getirecek mi?
Bu sorular hâlâ önemli. Ama artık yeterli değiller.
Bir kuruluş dış altyapıya, platformlara ve giderek daha fazla dış yapay zekâ modellerine bağımlı olduğunda, daha zor bir soru öne çıkar: koşullar değiştiğinde ne olur? Erişim daha pahalı, daha kısıtlı, siyasi açıdan daha riskli ya da bir düzenleyiciye, yönetim kuruluna veya müşteriye açıklanması daha zor hâle gelirse ne olur?
BT ve yapay zekâda egemenlik meselesi tam da budur.
Bu yalnızca verinin nerede bulunduğuyla ilgili değildir. Daha geniş anlamda kontrolle ilgilidir: sistemi kim inceleyebilir, kesintiye uğratabilir, erişimi zorlayabilir, kuralları değiştirebilir ya da sistemden ayrılmayı zorlaştırabilir? Aynı zamanda hesap verebilirlikle de ilgilidir. Bir şey ters gittiğinde sorumluluk kimde kalır?
Dijital egemenliğin küresel ölçekte tek bir tanımı yoktur. Farklı yargı alanları farklı boyutları öne çıkarır: hukuki erişim alanı, altyapı bağımlılığı, veri kontrolü, operasyonel dayanıklılık, sağlayıcı yoğunlaşması ve giderek artan biçimde yapay zekâ model katmanı üzerindeki kontrol. Ortak nokta ideolojik değil, pratiktir.
Egemenlik, bir kuruluşun en çok bağımlı olduğu dijital yetenekler üzerinde anlamlı kontrolü elinde tutabilme kapasitesidir.
Bu, her ülkenin ya da şirketin her şeyi kendi başına inşa etmesi gerektiği anlamına gelmez. Kabul edilebilir bağımlılığın nerede olduğunu, nerede tehlikeli hâle geldiğini ve hangi kontrol unsurlarının kurum içinde kalması ya da sözleşmeyle güvence altına alınabilmesi gerektiğini bilmek anlamına gelir.
Egemenlik kendi kendine yeterlilik değildir
Egemenlik çoğu zaman kendi kendine yeterlilik ya da veri yerelliği ile karıştırılır. Bunların hiçbiri sorunun tamamını kapsamaz.
Bir şirket verilerini doğru yargı alanında saklıyor olabilir ve yine de risk altında kalabilir; eğer çevresindeki platformdan çıkmak zorsa, sağlayıcı yabancı hukuki taleplere tabi olmaya devam ediyorsa ya da kritik iş akışlarına gömülü yapay zekâ sistemleri müşteri tarafından denetlenemiyor veya etkilenemiyorsa.
Yapay zekâ bu ayrımı daha da acil hâle getiriyor. Bir model yalnızca başka bir yazılım bileşeni değildir. Bir kuruluşun nasıl yazdığını, arama yaptığını, sınıflandırdığını, müşterilere destek verdiğini, bilgiyi analiz ettiğini ve karar aldığını şekillendirebilir. Bu gerçekleştiğinde bağımlılık yığının daha üst katmanlarına taşınır. Soru artık yalnızca bir makinenin nerede çalıştığı değildir. İşin içindeki zekâyı kimin şekillendirdiğidir.
Çoğu kuruluş bunu gündelik operasyonel anlarda fark eder. Bir sağlayıcı fiyatlandırmasını değiştirir ve uygulanabilir bir kullanım senaryosu bir anda pahalı hale gelir. Bir model güncellemesi çıktıları değiştirir ve iç iş akışlarının yeniden ayarlanması gerekir. Hukuk veya uyum ekipleri veri işleme hakkında doğrudan sorular sorar ve muğlak yanıtlar alır. Satın alma ekibi, sözde esnek bir mimarinin değiştirilmesinin maliyetli ve yavaş olacağını fark eder.
Jeopolitik bir kriz gerekmez. Olağan bağımlılık yeterlidir.
Farklı hukuki dillerle yürüyen küresel bir tartışma
Terminoloji farklı olsa bile mesele küreseldir.
Amerika Birleşik Devletleri'nde bu kaygı, çoğu zaman dijital egemenlik ifadesinden ziyade federal yetkilendirme ve ulusal güvenlik kontrolleri üzerinden dile getirilir. FedRAMP, federal kurumlar tarafından kullanılan bulut hizmetlerinin değerlendirilmesi, yetkilendirilmesi ve sürekli izlenmesi için standartlaştırılmış bir yaklaşım sunar. Kurumlar, iş yüklerini buluta taşıdıktan sonra da bunlardan sorumlu olmaya devam eder ve savunma ortamları buna ek gereklilikler getirir.
Birleşik Krallık ise meseleyi daha çok operasyonel dayanıklılık ve sistemik bağımlılık çerçevesinde ele alma eğilimindedir. İngiltere Merkez Bankası, PRA ve FCA, dış bir sağlayıcıdaki büyük bir kesintinin yalnızca tek bir firma için değil, daha geniş finansal sistem için de risk yaratabilmesi nedeniyle Critical Third Parties rejimini oluşturdu.
Kanada'nın Protected B bilgileri için bulut kontrol profili, hesap verebilirlik ilkesini açıkça ortaya koyar: sorumluluklar bulut sağlayıcılarına devredilebilir, ancak bu devirle birlikte hesap verebilirlik ortadan kalkmaz.
Hindistan, ödeme sistemi verileri için veri yerelleştirme gerekliliklerini, düzenlemeye tabi kuruluşların dış kaynaklı BT ve bulut düzenlemelerinden sorumlu olmaya devam etmesi beklentisiyle bir araya getirir. Singapur, bulut benimsenmesini memnuniyetle karşılarken bunu yönetilmesi gereken bir dış kaynak kullanımı olarak ele alır. Avustralya, Brezilya ve Güney Afrika da benzer şekilde konuya operasyonel dayanıklılık, hizmet sağlayıcı riski, denetleyici erişimi, veri yönetişimi ve stratejik altyapı üzerinden yaklaşır.
Örüntü açıktır. Egemenlik, Avrupa'ya özgü niş bir kaygı değildir. Dijital bağımlılığın stratejik hale gelmiş olmasına verilen geniş kapsamlı bir yanıttır.
Avrupa yaklaşımı neden önemli
Avrupa, bu kavramı bir satın alma ve değerlendirme çerçevesine dönüştürerek çoğu yargı alanından daha ileri taşıdı.
Avrupa Komisyonu'nun Cloud Sovereignty Framework'ü, egemen bulut sağlayıcılarını sekiz hedef üzerinden değerlendirir: stratejik, hukuki ve yargısal, veri ve yapay zeka, operasyonel, tedarik zinciri, teknolojik, güvenlik ve uyum ile çevresel değerlendirmeler. İki tamamlayıcı mekanizma kullanır:
- Sovereignty Effectiveness Assurance Level (SEAL): her hedef için asgari bir güvence seviyesi.
- Overall sovereignty score: gerekli SEAL eşiğini karşılayan tekliflerin ağırlıklı karşılaştırması.
Bu ayrım önemlidir. Genel SEAL, hedefler genelinde ulaşılan en düşük ilgili seviyeye göre belirlenir. Bu nedenle kritik bir alandaki ciddi bir zayıflık, başka alanlardaki güce bakılmaksızın sağlayıcının genel seviyesini sınırlayabilir. Skor ise farklı bir amaca hizmet eder: zaten asgari eşiği geçmiş teklifler arasında ayrım yapar.
Seviye eşik mantığıdır; skor karşılaştırmalı mantıktır.
Komisyonun rehberliği, ihale makamına bir satın alma için gerekli asgari SEAL seviyesini belirleme, ardından da uygun teklifleri skor üzerinden karşılaştırma imkanı tanır. 2026 tarihli egemen bulut tedarikinde sağlayıcıların en az SEAL-2'ye ulaşması gerekiyordu. Çerçeve ayrıca egemenliğin derecelerini de tanır: SEAL-2 veri egemenliğiyle, SEAL-3 dijital dayanıklılıkla ve SEAL-4 tam dijital egemenlikle ilişkilendirilir.
En yüksek seviye bilerek zorlu tutulmuştur. Komisyon, özellikle donanım ve çiplerdeki tedarik zinciri bağımlılıklarının sürmesi nedeniyle mevcut Avrupa bağlamında tam egemenliğin hâlâ zor olduğunu belirtir. Bu, ikili düşünceye karşı yararlı bir düzeltmedir. Bir hizmet, egemenliğin düşünülebilecek en güçlü tanımını karşılamasa bile bir kuruluşun egemenlik duruşunu iyileştirebilir.
Bu yüzden çerçeve bir kontrol listesinden fazlasıdır. Kavramı satın alma, mühendislik, hukuki inceleme ve kurumsal hesap verebilirlikle temas ettiğinde ayakta kalmaya zorlar.
Bunun düzenlemeye tabi sektörlerin ötesinde neden önemli olduğu
Bankalar, telekom operatörleri, savunma kuruluşları, sağlık sistemleri ve kamu otoriteleri bu baskıları genellikle önce hisseder; çünkü düzenleme, risklerin ne kadar yüksek olduğunu görünür kılar. Ancak alttaki kırılganlık çok daha geniştir.
Üretim analitiği için tek bir hyperscaler bölgesine bağımlı bir üretici, temel özelliklerini tek bir model sağlayıcısı etrafında inşa etmiş bir yazılım şirketi, harici kimlik altyapısına dayanan bir perakendeci ya da araştırma ve idari süreçlerine üçüncü taraf yapay zeka araçlarını entegre eden bir üniversite, aslında aynı sorunun farklı versiyonlarıyla karşı karşıyadır.
Riskin bir bölümü jeopolitiktir. İhracat kontrolleri, yaptırımlar, ulusal güvenlik müdahaleleri ve sınır ötesi hukuki talepler, birçok kuruluşun varsaydığından daha derine, teknoloji yığınının içine kadar uzanabilir. Bir diğer bölüm ise yapısaldır: Küresel bulut, platform, kimlik ve yapay zeka kapasitesinin büyük bir kısmı az sayıda şirket tarafından sağlanır. Bu şirketlerin yetkinlikleri çoğu zaman mükemmeldir. Bağımlılığın derinleşebilmesinin nedeni de tam olarak budur.
Yapay zeka bu meseleyi daha da keskinleştirir; çünkü dış hizmetler iç yeteneklere dönüşür. Bir model destek iş akışlarına, taslak hazırlamaya, aramaya, uyumluluk incelemesine ya da ürün deneyimine işlendiğinde, kuruluşun nasıl düşündüğünün ve çalıştığının bir parçası haline gelir. Bu katmanı denetlemek, yönetmek ya da değiştirmek zorsa, bağımlılık artık yalnızca teknik değildir. Yönetsel ve stratejik hale gelir.
Egemenlik merceğinin görmenize yardımcı olduğu şey
Egemenlik en iyi, tam bağımsızlık talebi olarak değil, bir muhakeme disiplini olarak anlaşılır.
Asıl faydalı soru, bir kuruluşun her şeyi kontrol edip etmediği değildir. Neredeyse hiçbir kuruluş bunu yapamaz. Daha iyi soru şudur: hangi egemenlik hedefi en zayıf, ve neden?
Sınırlayıcı unsur mülkiyet ve yönetişim mi? Hukuki maruziyet mi? Veri kontrolü mü? Operasyonel bağımlılık mı? Tedarik zinciri kırılganlığı mı? Teknolojik kilitlenme mi? Yoksa yapay zeka katmanının kendisi mi?
Bu görünür hale geldiğinde, verilecek yanıt somutlaşır. Bazı kuruluşların daha güçlü denetim ve çıkış haklarına ihtiyacı vardır. Bazılarının belirli veriler veya iş yükleri için daha sıkı yargı yetkisi sınırlarına ihtiyacı vardır. Bazıları, maliyeti artırsa bile, seçili işlevleri bulut veya model sağlayıcıları arasında taşınabilir tutabilir. Diğerleri ise daha az kritik alanlarda yönetilen bağımlılığı kabul ederken, dayanıklılığı, hesap verebilirliği veya rekabet avantajını belirleyen sistemler üzerinde daha güçlü kontrolü elinde tutabilir.
Egemenlik merceğinin değeri budur. Tek bir siyasi sonuca işaret etmez ya da dramatik bir teknolojik kendine yeterlilik talep etmez. Kuruluşlara, ilgili en zayıf hedeflerini belirlemek, neden zayıf olduğunu anlamak ve bu maruziyetin kabul edilebilir olup olmadığına karar vermek için disiplinli bir yol sunar.
Bu soru artık altyapı, veri ve giderek daha fazla yapay zeka için de geçerlidir.
Kaynaklar
- Avrupa Komisyonu: Egemen Bulut Çerçevesi açıklandı (2026)
- Avrupa Komisyonu: Bulut Egemenliği Çerçevesi — Uygulama rehberi (2026)
- Avrupa Komisyonu: Komisyon, stratejik tedarik yoluyla bulut egemenliğini ilerletiyor (2026)
- APRA: CPG 230 Operasyonel Risk Yönetimi
- ABD Genel Hizmetler İdaresi: Bulut Güvenliği
- İngiltere Merkez Bankası, PRA ve FCA: Birleşik Krallık finans sektörü için Kritik Üçüncü Taraflar
- Kanada Hükümeti: Bulut tabanlı GC Hizmetleri için Güvenlik Kontrol Profili
- Hindistan Merkez Bankası: Ödeme Sistemi Verilerinin Saklanmasına İlişkin SSS
- Hindistan Merkez Bankası (Ticari Bankalar – Dış Kaynak Kullanımında Risklerin Yönetimi) Yönergeleri, 2025
- Singapur Para Otoritesi: Bulut
- Brezilya Merkez Bankası: Resolução CMN nº 4.893
- Güney Afrika Hükümeti: Veri ve Bulut Ulusal Politikası (2024)
